Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

432
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
431
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
der Lösung von Aufgabenteil b), nur daß zusätzlich jede Instanz ihr eigenes p und g wählt und
veröffentlicht.
Auch wenn Teilnehmer paarspezifisch öffentliche Schlüssel erzeugen, darf natürlich nicht
vergessen werden, daß die öffentlichen Schlüssel authentisch sein müssen. Dies kann beispielsweise
durch ihre Zertifizierung, vgl. §3.1.1.2, und Prüfung der Zertifikate durch den
Empfänger sichergestellt werden. Kann der Sender digitale Signaturen leisten, die der
Empfänger prüfen kann, so wird es oftmals zweckmäßig sein, daß der Sender seine
paarspezifischen öffentlichen Schlüssel selbst zertifiziert, vgl. auch §9.2.
Die Reihenfolge, in der exponenziert wird, ist egal.
Als Formel geschrieben:
Für beliebige Elemente g, x, y gilt: (g x ) y = g xy = g yx = (g y ) x .
Bildlich dargestellt:
xy
g
d) DSA (DSS) als Basis:
↑x
↑y
Diffie-Hellman Schlüsselaustausch funktioniert auf dieser Basis tadellos, da alle Werte hierfür
mit passendem Geheimhaltungsgrad vorhanden sind. Je nachdem, ob p und g für alle
Teilnehmer gleich sind oder nicht, ist im zweiten Fall gemäß b) zu verfahren. DSA (DSS) stellt
also entgegen den erklärten Zielen auch eine Basis für kryptographische Konzelation, im Falle
p und g für alle Teilnehmer gleich sogar für Steganographie mit öffentlichen Schlüsseln dar,
vgl. §4.1.2.
Nicht einfach zu beantworten ist die Frage, ob der so realisierte Diffie-Hellman Schlüsselaustausch
genauso sicher ist wie die Verfahren in §3.9.1 bzw. Aufgabenteil b), denn die
Verteilung von g ist subtil anders und die Länge von x deutlich anders. Soweit mir bekannt,
kann das Verfahren trotzdem als sicher betrachtet werden.
x y
g g
↑y
↑x
g
b) Anonymität:
Organisatorische Variante: Es ist keineswegs notwendig, daß den öffentlichen Schlüsseln Personen
erkennbar zugeordnet sein müssen. Es kann sich auch um Pseudonyme handeln.
3-24 Blind geleistete Signaturen mit RSA
Der Text (inkl. des Ergebnisses der kollisionsresistenten Hashfunktion, vgl. §3.6.4.2), der blind
signiert werden soll, sei 2, der Blendungsfaktor 17. Damit ergibt sich aufbauend auf Aufgabe 3-
16 b) als geblendeter Text 2•17t mod 33 = 2•173 = 2•29 mod 33 = 58 mod 33 = 25. (Beim
Ausdenken solch eines Beispiels geht mensch natürlich umgekehrt vor: 25, die zu signierende
Nachricht aus Aufgabe 3-16 b), ist vorgegeben. Also bestimme 2 Zahlen, deren Produkt (mod 33)
25 ergibt. Nach Wahl von 2 und 29 muß die 3-te Wurzel von 29 mod 33 bestimmt werden, wozu
der inverse Exponent benutzt werden kann: 297 mod 33 = 292•292•292•29 mod 33 = (-4) 2•(- 4) 2•(-4) 2•(-4) mod 33 = 16•16•16•(-4) mod 33 = 256•(-64) mod 33 = 25•2 mod 33 = 17.)
Aus Aufgabe 3-16 b) kann nun der geblendete Text mit Signatur übernommen werden: 25, 31
(denn 313 mod 33 = (-2) 3 mod 33 = -8 mod 33 = 25 mod 33).
Der Empfänger muß nun die zweite Komponente, die blind geleistete Signatur, durch den
Blendungsfaktor 17 teilen.
Euklidscher Algorithmus zur Bestimmung von 17-1 mod 33:
33 = 1•17 + 16;
17 = 1•16 +1.
Rückwärts:
1 = 17 – 1•16
= 17 – 1•(33 – 1•17)
= 2•17 – 33.
Also ist 17-1 mod 33 = 2.
Als Signatur ergibt sich also:
31•17-1 mod 33 = 31•2 mod 33 = 29.
Nun überprüfen wir die Richtigkeit unserer Rechnung, indem wir nachrechnen, wie der
Empfänger der blind geleisteten Signatur prüft, ob ihn der Aussteller übers Ohr hauen will:
Signaturt mod 33 = 293 mod 33 = (-4) 3 mod 33 = -64 mod 33 = 2 =?= Text.
Wir stellen (erleichtert) fest, daß dies der Fall und unsere Rechnung deshalb höchstwahrscheinlich
richtig ist.
Protokollvariante: Statt seinen publizierten öffentlichen Schlüssel zu nehmen, bildet der Sender
für jede anonym zu übermittelnde und zu verschlüsselnde Nachricht jeweils ein neues Schlüsselpaar.
Ausgehend von dem neuen geheimen Schlüssel bestimmt er den gemeinsamen geheimen
Schlüssel mit seinem Kommunikationspartner und verschlüsselt die Nachricht entsprechend.
Danach sendet er diese verschlüsselte Nachricht zusammen mit dem eigens generierten
neuen öffentlichen Schlüssel145 an seinen Partner. Der verwendet diesen zugesandten öffentlichen
Schlüssel zusammen mit seinem geheimen zur Berechnung des gemeinsamen geheimen
Schlüssels und entschlüsselt damit die Nachricht. (Falls Sie mal den Namen asymmetrische
Verschlüsselung mit dem ElGamal-Konzelationssystem hören: Es ist ein Spezialfall des
Beschriebenen. ElGamal verwendet als symmetrische Verschlüsselung im beschriebenen
hybriden Konzelationssystem die modulare Multiplikation [ElGa_85, Schn_96 Seite 478].)
Wenn der Sender eine anonyme Antwortnachricht will? Nichts leichter als das: Der
gemeinsame geheime Schlüssel kann einfach weiterverwendet werden.
Damit sind asymmetrische Konzelationssysteme und Diffie-Hellman Schlüsselaustausch auch
bzgl. Anonymität gleichwertig.
c) Individuelle Parameterwahl:
Jeder Teilnehmer wählt für sich sein p und sein g, die er als Teil seines öffentlichen Schlüssels
veröffentlicht.
Jeder kann mit einem anderen Teilnehmer einen geheimen Schlüssel austauschen, indem er
dessen p und g nimmt und damit wie in §3.9.1 beschrieben verfährt. Danach teilt er dem
anderen Teilnehmer seinen gerade berechneten, paarspezifischen öffentlichen Schlüssel mit.
Wegen des letzten Schrittes ist diese Modifikation des Diffie-Hellman Schlüsselaustauschs
nicht geeignet für Steganographie mit öffentlichen Schlüsseln, vgl. §4.1.2. Sofern nicht
„Faster key generation“ eingestellt ist, wird diese Modifikation des Diffie-Hellman
Schlüsselaustauschs bei PGP ab Version 5 verwendet. Sie ist praktisch die Protokollvariante
145 Deshalb ist diese Modifikation des Diffie-Hellman Schlüsselaustauschs nicht geeignet für Steganographie mit
öffentlichen Schlüsseln, vgl. §4.1.2.